Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article 10 — amendement n° 184

Cet amendement du groupe Horizons & Indépendants vise à permettre au Premier ministre, par arrêté, d’exempter certaines entités exerçant des missions régaliennes – sécurité nationale, sécurité publique, défense, répression pénale – de certaines obligations prévues par la loi en matière de cybersécurité, lorsqu’elles agissent dans le cadre de ces activités. L’objectif est de concilier l’application de la directive (UE) 2022/2555 dite NIS 2 avec les impératifs de souveraineté et de sécurité…

Article 10 — amendement n° 312

Rédactionnel.

Article 10 — amendement n° 460

Cet amendement vise à ce que la liste des entités essentielles et importantes soit la plus conforme possible à la réalité des secteurs d’activités concernés. Les opérateurs d’importance vitale visés par le titre I du projet de loi sont désignés par les ministères coordonnateurs du secteur auxquels ils appartiennent. Les acteurs visés par le titre III sont notamment désignés par les ministères économiques et financiers. En cohérence, cet amendement vise à apporter l’expertise les ministères…

Article 10 — amendement n° 491

Cet amendement vise à transposer le 8. de l’article 2 de la directive dite NIS 2[1] qui permet aux Etats membres d’exempter des entités spécifiques qui exercent dans les domaines visés par cette disposition, de certaines obligations, notamment en matière de gestion des risques et de notification d’incidents importants. Cette disposition permettrait, de manière exceptionnelle, et lorsque le niveau d’exigences en matière de cybersécurité sera au moins équivalent pour ces entités qu’elles ne…

Article 12 — amendement n° 313

Cet amendement vise à ce que la liste des entités essentielles et importantes soit la plus conforme possible à la réalité des secteurs d’activités concernés. Les opérateurs d’importance vitale mentionnés au titre I du projet de loi sont désignés par les ministères coordonnateurs du secteur auxquels ils appartiennent. Les acteurs visés par le titre III sont notamment désignés par les ministères économiques et financiers. En cohérence, cet amendement vise à apporter l’expertise les ministères…

Article 12 — amendement n° 314

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à s’assurer de l’intégration des agents agissant pour le compte des bureaux d’enregistrement à la liste des entités établie par l’autorité nationale de sécurité des systèmes d’information, en conformité avec la…

Article 12 — amendement n° 492

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à s’assurer de l’intégration des agents agissant pour le compte des bureaux d’enregistrement à la liste des entités établie par l’autorité nationale de sécurité des systèmes d’information, en conformité avec la…

Article 12 — amendement n° 66

Par cet amendement, le groupe LFI réaffirme l’importance attachée à la protection des données sensibles et notamment les données à caractère personnel. Autorité administrative indépendante, la commission nationale de l’informatique et des libertés (CNIL) joue un rôle de référence en matière de protection des données à caractère personnel contenues dans les fichiers et traitements informatiques ou papier, aussi bien publics que privés. L’une de ses principales missions est de conseiller les…

Article 13 — amendement n° 316

Le présent amendement tend à clarifier les dispositions qui ne trouvent pas à s’appliquer dans le cas d’un acte sectoriel de l’Union européenne reconnu comme lex specialis qui prévoit des dispositions équivalentes. Il tend ainsi à préciser que sont uniquement concernées les dispositions relatives à l’application de mesures de sécurité, à la notification des incidents ainsi qu’à celles de la supervision permettant d’en vérifier le respect. En dehors de ces dispositions, les entités restent…

Article 13 — amendement n° 493

Le présent amendement tend à clarifier les dispositions qui ne trouvent pas à s’appliquer dans le cas d’un acte sectoriel de l’Union européenne reconnu comme lex specialis qui prévoit des dispositions équivalentes. Il tend ainsi à préciser que sont uniquement concernées les dispositions relatives à l’application de mesures de sécurité, à la notification des incidents ainsi qu’à celles de la supervision permettant d’en vérifier le respect. En dehors de ces dispositions, les entités restent…

Article 14 — amendement n° 318

Proposition de modification substantielle de l’article 14. Le présent amendement vise à renforcer les objectifs de sécurité et de résilience numérique inscrits dans ce projet de loi en s’assurant que les mesures de cybersécurité prises par les entités critiques reposent sur des fondations techniques saines, maîtrisées et souveraines. Cet amendement s’inscrit dans la continuité de l’article 16 de la loi n° 2016‑1321 pour une République numérique, qui dispose déjà que les administrations doivent…

Article 14 — amendement n° 319

Cet amendement a pour objet de préciser que les mesures techniques et organisationnelles garantissent, pour leurs réseaux et leurs systèmes d’information, un niveau de résilience adapté et proportionné au risque.

Article 14 — amendement n° 320

Rédactionnel.

Article 14 — amendement n° 321

Rédactionnel.

Article 14 — amendement n° 322

Cet amendement vise à exclure explicitement du champ d’application de la directive NIS 2 les activités liées à la sécurité nucléaire, pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales tout en conservant leur assujettissement à un niveau d’exigence rigoureusement équivalent à celui prévu par la directive NIS 2. La directive NIS 2 prend en compte cette possibilité à son…

Article 14 — amendement n° 324

Amendement de cohérence avec le 4˚ de cet article (alinéa 5). Le projet de loi prévoyait dans sa version initiale que les entités devaient mettre en place un pilotage de la sécurité des réseaux et systèmes d’information adaptée, comprenant notamment la formation à la cybersécurité des membres des organes de direction et des personnes exposées aux risques. Le Sénat, considérant que ce texte « sous-transposait » l’art. 20 de NIS2, a voulu à juste titre renforcer ces dispositions afin que les…

Article 14 — amendement n° 326

Rédactionnel.

Article 14 — amendement n° 327

Rédactionnel.

Article 14 — amendement n° 337

Cet amendement vise à clarifier le présent alinéa en faisant référence explicitement au référentiel européen défini par le règlement d’exécution (UE) n°2024/2690, pris en application de la directive (UE) 2022/2555 dite « NIS2 ». Cette clarification garantit la cohérence entre le cadre européen et le dispositif national élaboré par l’ANSSI, prévu par décret en Conseil d’État, pour les entités concernées. Elle permet en outre d’écarter toute ambiguïté d’interprétation et de prévenir les risques…

Article 14 — amendement n° 338

Le présent amendement a pour objectif d’offrir la possibilité pour les entités régulées de se prévaloir du recours à certaines prestations de services qualifiés, pour faciliter la démonstration de leur respect à tout ou partie des objectifs de sécurité. Cet amendement répond aux préoccupations émises par la commission spéciale relative à l’encadrement du recours aux prestataires qualifiés. Il permet en ce sens de valoriser le recours par les entités assujetties aux prestations qualifiées par…

Article 14 — amendement n° 453

Cet amendement prévoit que les entités listées à l’alinéa premier de l’article 14 mettent en œuvre à leurs frais les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services.

Article 14 — amendement n° 454

Cet amendement complète l’alinéa 5 de l’article 14 du projet de loi pour préciser que les entités listées à l’alinéa 1 de ce même article prennent les mesures nécessaires pour garantir la résilience des réseaux et des systèmes d’information.

Article 14 — amendement n° 456

Cet amendement, d'une part, ajoute les ministères à la liste des personnes avec lesquelles l'ANSSI se concertera pour l'élaboration, la modification et la publication du référentiel d'exigences techniques et organisationnelles, et d'autre part, procède à des modifications d'ordre rédactionnelles dans un but de clarification.

Article 14 — amendement n° 528

Cet amendement vise à exclure explicitement du champ d’application de la directive NIS 2 les activités liées à la sécurité nucléaire, pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales tout en conservant leur assujettissement à un niveau d’exigence rigoureusement équivalent à celui prévu par la directive NIS 2. La directive NIS 2 prend en compte cette possibilité à son…

Article 14 — amendement n° 529

Le présent amendement a pour objectif d’offrir la possibilité pour les entités régulées de se prévaloir du recours à certaines prestations de services qualifiés, pour faciliter la démonstration de leur respect à tout ou partie des objectifs de sécurité. Cet amendement répond aux préoccupations émises par la commission spéciale relative à l’encadrement du recours aux prestataires qualifiés. Il permet en ce sens de valoriser le recours par les entités assujetties aux prestations qualifiées par…

Article 15 — amendement n° 457

Cet amendement procède à une réécriture quasi complète de l'article 15 afin de clarifier les conditions dans lesquelles seront reconnues les normes et spécifications techniques, européennes ou internationales permettant aux entités régulées de démontrer leur conformité toute ou partie aux objectifs visés. Il vise par ailleurs à faciliter, pour les entités établies dans plusieurs pays au sein de l’Union européenne, la reconnaisance de leur conformité de toute ou partie des objectifs visés…

Article 15 — amendement n° 530

Cet amendement procède à une réécriture quasi complète de l'article 15 afin de clarifier les conditions dans lesquelles seront reconnues les normes et spécifications techniques, europénnes ou interationales permettant aux entités régulées de démontrer leur conformité toute ou partie aux objectifs visés. Il vise par ailleurs à faciliter, pour les entités établies dans plusieurs pays au sein de l’Union européenne, la reconnaisance de leur conformité de tout ou partie des objectifs visés…

Article 16 — amendement n° 347

Rédactionnel.

Article 16 — amendement n° 348

Rédactionnel.

Article 16 — amendement n° 349

Rédactionnel.

Article 16 — amendement n° 350

Rédactionnel.

Article 16 — amendement n° 351

Rédactionnel.

Article 16 — amendement n° 352

Cet amendement vise à corriger une erreur rédactionnelle suite à la reprise textuelle de l’article 14 du projet de loi. En tant qu’établissement public à caractère industriel et commercial, le CEA, notamment pour ses activités dans le domaine de la défense, n’est en effet pas concerné par ces exigences spécifiques fixées par le Premier ministre à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations. Ces…

Article 16 — amendement n° 355

Rédactionnel.

Article 16 — amendement n° 356

Rédactionnel.

Article 16 — amendement n° 495

Cet amendement vise à corriger une erreur rédactionnelle suite à la reprise textuelle de l’article 14 du projet de loi. En tant qu’établissement public à caractère industriel et commercial, le CEA, notamment pour ses activités dans le domaine de la défense, n’est en effet pas concerné par ces exigences spécifiques fixées par le Premier ministre à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations. Ces…

Article 16 bis — amendement n° 358

Cet amendement élargit le champ de l'article 16 bis pour inclure, au-delà des outils techniques tels que les portes dérobées ou les clés maitresses, des pratiques telles que la création d'un accès non consenti aux données protégées ou la mise en place d'un protocole de remise systématique de copies de clés privées qui, in fine, auraient le même effet que les outils techniques précités.

Article 17 — amendement n° 359

Rédactionnel.

Article 17 — amendement n° 361

Tout incident entraîne « des pertes financières » de quelques centaines d’euros (ou heures de travail) à plusieurs dizaines de millions d’euros. Il est souhaitable de qualifier ces pertes financières comme « importantes » ou « significatives ».

Article 17 — amendement n° 365

Rédactionnel.

Article 17 — amendement n° 368

Cet amendement vise essentiellement à reprendre la rédaction du 2. de l’article 23 de la directive NIS 2 qui régit les obligations des États-Membres et des entités en matière d’information aux destinataires des services lorsque l’entité essentielle ou importante identifie qu’une vulnérabilité critique est susceptible de les affecter. Il vise à clarifier le champ des informations devant leur être communiquées en s’alignant sur le 2. de l’article 23 de la directive NIS 2, qui limite le champ des…

Article 17 — amendement n° 371

Rédactionnel.

Article 17 — amendement n° 372

Rédactionnel.

Article 17 — amendement n° 374

Rédactionnel.

Article 17 — amendement n° 375

Rédactionnel.

Article 17 — amendement n° 496

Cet amendement vise essentiellement à reprendre la rédaction du 2. de l’article 23 de la directive NIS 2 qui régit les obligations des Etats-Membres et des entités en matière d’information aux destinataires des services lorsque l’entité essentielle ou importante identifie qu’une vulnérabilité critique est susceptible de les affecter. Il vise à clarifier le champ des informations devant leur être communiquées en s’alignant sur le 2. de l’article 23 de la directive NIS 2, qui limite le champ des…

Article 18 — amendement n° 376

Rédactionnel.

Article 19 — amendement n° 102

L’Association française pour le nommage Internet en coopération (AFNIC) alerte sur les risques de surtransposition du droit européen en matière de régulation des noms de domaine. Elle critique notamment l’obligation de vérification systématique a priori de l’identité des titulaires, qu’elle juge disproportionnée par rapport aux objectifs de lutte contre la fraude. Une telle mesure devrait être réalisée a posteriori aux cas signalés ou suspects, d’autant que seuls 0,02 % des quelque 4 millions…

Article 19 — amendement n° 111

Par cet amendement, le groupe LFI souhaite s'assurer que l'ensemble des informations relatives au titulaire du nom de domaine soit effectivement collectées par les bureaux et offices d'enregistrement, même lorsque les titulaires ont recours à des services tiers pour effectuer leur démarche. En effet, certains titulaires ont recours à des services (services dits « proxy » ou services dits de « confidentialité ») pour anonymiser leurs données, ce qui rend plus difficile, voire impossible…

Article 19 — amendement n° 113

Par cet amendement, le groupe LFI souhaite préciser les conditions d’enregistrement des noms de domaine par les offices et bureaux d’enregistrement. L’article 19 renvoie le soin à un décret de fixer la liste des données collectées par les offices et bureaux d’enregistrement. Cet amendement de précision vise seulement à garantir l’application de l’article 28 de la directive NIS 2, en imposant que le décret prévoit aussi les procédures de vérification. Dans l’objectif de mieux garantir la…

Article 19 — amendement n° 188

Cet amendement du groupe Socialistes et apparentés vise à garantir le fait que l’ensemble des informations relatives au titulaire du nom de domaine, y compris lorsque ce dernier fait appel à un service tiers, sont bien récupérées par les bureaux et offices d’enregistrement au stade de la collecte, en cohérence avec l’article 28 de la Directive NIS 2 qui prévoit la collecte des informations « du point de contact qui gère le nom de domaine, si ces coordonnées sont différentes de celles du…

Article 19 — amendement n° 377

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations en matière de protection des données prévues à l’alinéa 2 de l’article 19 du projet de…

Article 19 — amendement n° 378

Le présent amendement vise à clarifier le fait que les procédures de vérification des données n’ont pas pour objectif de s’assurer de l’exactitude de ces données au moment de leur collecte. En effet, les offices et bureaux d’enregistrement n’ont pas les capacités d’effectuer une telle vérification au moment même de la collecte pour l’ensemble des noms de domaine.

Article 19 — amendement n° 379

Rédactionnel.

Article 19 — amendement n° 476

L’article 19 vient transposer l’article 28 de la Directive « NIS 2 » et ses Considérants pour encadrer la collecte des données nécessaires à l’enregistrement des noms de domaine par les offices et bureaux d’enregistrement. Dans ce cadre, le présent amendement vise à garantir le fait que l’ensemble des informations relatives au titulaire du nom de domaine, y compris lorsque ce dernier fait appel à un service tiers, sont bien récupérées par les bureaux et offices d’enregistrement au stade de la…

Article 19 — amendement n° 497

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations en matière de protection des données prévues à l’alinéa 2 de l’article 19 du projet de…

Article 19 — amendement n° 80

Certains titulaires de noms de domaine recourent à des services leur permettant de rendre anonymes leurs données personnelles, rendant ainsi toute action judiciaire à leur encontre difficile, voire impossible. Pour répondre à cette situation, la directive NIS2 prévoit donc que dans le cadre de leur mission de collecte des données afférentes à l'enregistrement des noms de domaines, les bureaux et offices d'enregistrement récupèrent bien l'ensemble des informations relatives au titulaire du nom…

Article 19 — amendement n° 82

Cet amendement vise à spécifier le contenu du décret afférent à l'article 19, qui devra ainsi préciser les procédures de vérification des données d'enregistrement des noms de domaine menées par les bureaux et offices d'enregistrement. Ainsi, ces procédures devront : être « ex ante » au moment de l’enregistrement et « ex post » après l’enregistrement, afin de garantir le maintien des bases de données exactes et complètes ; tenir compte des normes élaborées par les structures de gouvernance…

Article 2 — amendement n° 131

Amendement rédactionnel. Cet amendement tire les conséquences du remplacement du "plan particulier de protection" par le "plan particulier de résilience", prévue par le présent projet de loi, en modifiant une référence à l'article L. 1411-2 du code de la défense.

Article 20 — amendement n° 380

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues à l’article 20 du projet de loi portant sur la durée de conservation des données…

Article 20 — amendement n° 499

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues à l’article 20 du projet de loi portant sur la durée de conservation des données…

Article 21 — amendement n° 381

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement l’obligation de publication des données d’enregistrement qui n’ont pas de caractère personnel prévue à…

Article 21 — amendement n° 500

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement l’obligation de publication des données d’enregistrement qui n’ont pas de caractère personnel prévue à…

Article 22 — amendement n° 382

Rédactionnel.

Article 22 — amendement n° 384

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues à l’article 22 du projet de loi, portant sur la communication des données…

Article 22 — amendement n° 385

Rédactionnel.

Article 22 — amendement n° 386

Rédactionnel.

Article 22 — amendement n° 501

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues à l’article 22 du projet de loi, portant sur la communication des données…

Article 22 — amendement n° 88

L’article 22 du présent projet de loi vient transposer l’article 28 de la Directive NIS 2, notamment pour organiser les modalités d’accès aux données d’enregistrement des noms de domaine collectées par les offices et bureaux d’enregistrement. Dans ce cadre, le présent amendement vise à préciser le champ des « demandeurs d’accès légitimes » conformément à la Directive. En l’état du présent article, l’accès aux informations est limité aux agents habilités « par l’autorité judiciaire pour les…

Article 23 — amendement n° 387

Rédactionnel.

Article 23 — amendement n° 388

Cet amendement est destiné à éviter l’introduction d’une notion dont les contours ne sont pas déterminés en droit français, lequel connaît en revanche celle de secret des affaires. L’objectif étant que le partage d’information puisse avoir lieu entre les autorités compétentes dans la mesure nécessaire à l’exercice des missions qui leur sont confiées par les textes, les garanties de confidentialité et de partage limité à ce qui est justifié figurent dans le texte et sont de nature à répondre aux…

Article 24 — amendement n° 389

Rédactionnel.

Article 25 — amendement n° 392

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à étendre aux agents agissant pour le compte des bureaux d’enregistrement les dispositions de l’article 25, en cohérence avec l’intégration des bureaux d’enregistrement au sein de cet article. Cette intégration se…

Article 25 — amendement n° 502

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à étendre aux agents agissant pour le compte des bureaux d’enregistrement les dispositions de l’article 25, en cohérence avec l’intégration des bureaux d’enregistrement au sein de cet article. Cette intégration se…

Article 26 — amendement n° 395

La certification des services de coffre-fort numérique ayant été abrogée par l’article 26A du projet de loi, cet amendement de cohérence vise à supprimer corrélativement la compétence de l’ANSSI à contrôler le respect de cette certification.

Article 26 — amendement n° 396

Il s’agit d’un amendement de cohérence permettant de soumettre au contrôle de l’autorité nationale de sécurité des systèmes d’information les opérateurs d’importance vitale qui ne sont pas déjà soumis à son contrôle en tant qu’entité essentielle ou importante. En effet, la rédaction actuelle de l’article 26 ne couvre que les OIV des secteurs prévus par les directives NIS2 et REC soumis au contrôle en vertu des chapitre II et III du projet de loi alors que les OIV hors du champ des directives…

Article 26 — amendement n° 397

L’amendement a pour objectif d’appliquer le règlement UE n° 2024/2847, dit CRA (CyberResilienceAct) visant à imposer des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national. Il ouvre en particulier la possibilité aux agents de l’ANSSI d’effectuer des contrôles pour rechercher les manquements au règlement CRA.

Article 26 — amendement n° 398

Rédactionnel.

Article 26 — amendement n° 504

Il s’agit d’un amendement de cohérence permettant de soumettre au contrôle de l’autorité nationale de sécurité des systèmes d’information les opérateurs d’importance vitale qui ne sont pas déjà soumis à son contrôle en tant qu’entité essentielle ou importante. En effet, la rédaction actuelle de l’article 26 ne couvre que les OIV des secteurs prévus par les directives NIS2 et REC soumis au contrôle en vertu des chapitre II et III du projet de loi alors que les OIV hors du champ des directives…

Article 26 — amendement n° 505

La certification des services de coffre-fort numérique ayant été abrogée par l’article 26A du projet de loi, cet amendement de cohérence vise à supprimer corrélativement la compétence de l’ANSSI à contrôler le respect de cette certification.

Article 26 — amendement n° 506

L’amendement a pour objectif d’appliquer le règlement UE n° 2024/2847, dit CRA (CyberResilienceAct) visant à imposer des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national. Il ouvre en particulier la possibilité aux agents de l’ANSSI d’effectuer des contrôles pour rechercher les manquements au règlement CRA.

Article 26 A — amendement n° 394

Le présent amendement tend à supprimer la certification par l’ANSSI des services de coffre-fort numérique, pour trois raisons. Premièrement, les dispositions prévues aux 1° à 5° de cet article et précisées dans les décrets no 2018‑418[1] et no 2018‑853[2] permettent de garantir un niveau de sécurité minimal, jugé suffisant par l’ANSSI, pour les services de coffre-fort numérique s’accompagnant d’un régime de sanction porté par l’article L. 122‑22 du code de la consommation. De plus, la…

Article 26 A — amendement n° 503

Le présent amendement tend à supprimer la certification par l’ANSSI des services de coffre-fort numérique, pour trois raisons. Premièrement, les dispositions prévues aux 1° à 5° de cet article et précisées dans les décrets no 2018-418[1] et no 2018-853[2] permettent de garantir un niveau de sécurité minimal, jugé suffisant par l’ANSSI, pour les services de coffre-fort numérique s’accompagnant d’un régime de sanction porté par l’article L. 122-22 du code de la consommation. De plus, la…

Article 27 — amendement n° 27

L’article 27 du projet de loi confère aux agents de l’ANSSI la faculté, lors de contrôles, d’accéder aux systèmes d’information et aux données d’une entité, sans que celle-ci puisse invoquer le secret des affaires. Une telle prérogative touche pourtant des éléments sensibles, essentiels à la compétitivité et à la stratégie des entreprises. Il apparaît donc indispensable d’encadrer davantage ce droit d’accès afin de préserver la confidentialité des informations commerciales les plus critiques.…

Article 27 — amendement n° 30

L’article 27 du projet de loi prévoit que les agents de l’ANSSI peuvent accéder en cas de contrôle aux systèmes d’informations, aux logiciels, aux programmes informatiques et aux données stockées d’une entité, sans que cette dernière ne puisse y opposer le secret des affaires. Cette disposition concerne des informations confidentielles et hautement stratégiques pour les entités concernées : un encadrement accru de ce pouvoir d’accès apparait nécessaire pour garantir aux entités concernées un…

Article 27 — amendement n° 400

Cet amendement supprime la mention « , qui doit comporter les questions auxquelles il est répondu » de l'alinéa 6 de l'article 27 du projet de loi. En effet, imposer lors d’un contrôle la rédaction des questions auxquelles les entités correspond dans les faits à une exigence prévue dans le cadre des procédures pénales et non en contrôle de nature administrative. Cette exigence est, en outre, source de complexité voire irréaliste tant pour les contrôleurs que pour l’entité contrôlée au regard du…

Article 27 — amendement n° 507

Le présent amendement tend à compléter les prérogatives des agents et personnels en charge des contrôles des entités assujetties en ouvrant la possibilité de prélever des échantillons de produits. En effet, la mise en œuvre du règlement n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE)…

Article 28 — amendement n° 154

L’article 28 du présent projet de loi prévoit que la personne contrôlée est tenue de coopérer avec l’autorité nationale de sécurité des systèmes d’information et que tout manquement est puni d’une amende administrative. Il n’est pas fait de distinction selon qu’il s’agisse d’une entité essentielle ou d’une entité importante. Or, le texte de la directive NIS2 établit un régime différencié de sanctions selon la catégorie des entités concernées. En effet, l’article 34 de la directive dispose que…

Article 28 — amendement n° 16

L’article 28 du projet de loi prévoit que la personne contrôlée doit coopérer avec l’ANSSI, tout manquement étant passible d’une amende administrative. Le texte ne distingue toutefois pas entre entités essentielles et entités importantes, contrairement à la directive NIS2 qui établit une différenciation des sanctions selon la catégorie d’entité. Cet amendement vise à distinguer les sanctions en fonction de la catégorie d’entité concernée, et de transposer ainsi fidèlement la directive NIS2.

Article 28 — amendement n° 403

Rédactionnel.

Article 29 — amendement n° 404

Rédactionnel.

Article 29 — amendement n° 405

Rédactionnel.

Article 29 — amendement n° 459

Cet amendement prévoit que les entités mentionnées à l’article 14 du projet de loi peuvent choisir les prestataires de services certifiés, qualifiés ou agréés ou organismes indépendants sur la base d’une liste élaborée par l’ANSSI. Cet amendement fait suite à de nombreuses inquiétudes soulevées lors des auditions, notamment s’agissant d’un potentiel risque confit d’intérêt entre l’audité et l’auditeur. Avec une liste de plusieurs prestataires établie par l’ANSSI, l’entité auditée ne sera pas…

Article 3 — amendement n° 132

Amendement rédactionnel. Au premier alinéa des articles L. 285-1, L. 286-1, L. 287-1 et L. 288-1 du code de la sécurité intérieur, la référence à la loi n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense a été remplacée par la référence à la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic. Dès lors, cet amendement en tire les conséquences en substituant la…

Article 31 — amendement n° 407

L’article 31 alinéa 1 doit prévoir des conditions de déclenchement de la phase d’instruction, compatibles avec la réalité opérationnelle des contrôles. Or, si c’est effectivement le cas lorsque de manière évidente les mesures de contrôle ont révélé un manquement, cela doit également être possible lorsque le constat de certains faits sont susceptibles de révéler un manquement qui n’est pas encore qualifié ou pleinement établi au moment de l’ouverture de l’instruction. Dans certaines hypothèses,…

Article 31 — amendement n° 408

Cet amendement de clarification précise que les astreintes seront prononcées par l’autorité nationale de sécurité des systèmes d’information.

Article 31 — amendement n° 508

L’article 31 alinéa 1 doit prévoir des conditions de déclenchement de la phase d’instruction, compatibles avec la réalité opérationnelle des contrôles. Or, si c’est effectivement le cas lorsque de manière évidente les mesures de contrôle ont révélé un manquement, cela doit également être possible lorsque le constat de certains faits sont susceptibles de révéler un manquement qui n’est pas encore qualifié ou pleinement établi au moment de l’ouverture de l’instruction. Dans certaines hypothèses,…

Article 33 — amendement n° 185

Cet amendement du groupe Horizons & Indépendants propose de sécuriser juridiquement la dématérialisation des actes établis par les agents et personnels compétents en matière de cybersécurité et de contrôle, mentionnés à l’article 26. Il prévoit que ces actes pourront être établis, signés et conservés exclusivement sous format numérique, dans des conditions garantissant leur intégrité et leur sécurité, sans nécessité de support papier ni de sceau. Une signature électronique unique et…

Article 33 — amendement n° 409

Rédactionnel.

Article 33 — amendement n° 410

Cet amendement tend, à titre principal, à tirer les conséquences de précédents amendements qui excluent les personnes morales dont leurs activités visées à l’article L. 1332‑2 du code de la défense du champ de la directive NIS 2 tout en garantissant leur assujettissement à un niveau d’exigence équivalent. Il vise ainsi à soumettre ces personnes aux mesures consécutives à un contrôle prévues à l’article 33 de la présente loi. Il vise par ailleurs à remplacer la notion d’entité par la notion de…

Article 33 — amendement n° 509

Cet amendement tend, à titre principal, à tirer les conséquences de précédents amendements, qui excluent les personnes morales dont leurs activités visées à l’article L. 1332-2 du code de la défense du champ de la directive NIS 2 tout en garantissant leur assujettissement à un niveau d’exigence équivalent. Il vise ainsi à soumettre ces personnes aux mesures consécutives à un contrôle prévues à l’article 33 de la présente loi. Il vise par ailleurs à remplacer la notion d’entité par la notion de…

Article 33 — amendement n° 510

Le présent amendement vise à prévoir la possibilité d’une procédure dématérialisée. En effet, il paraît nécessaire de prévoir le traitement et la conservation dématérialisés des actes lors des contrôles, à l’instar d’autres dispositifs en vigueur (voir par exemple les articles L. 511-2-1 du code de la consommation ou 801-1 du code de procédure pénale).

Article 34 — amendement n° 411

Rédactionnel.

Article 36 — amendement n° 157

Cet amendement vise à revenir sur l'incompatibilité adoptée au Sénat, visant à exclure la nomination comme personne qualifiée au sein de la commission des sanctions, saisie par l'ANSSI, de toute personne ayant exercé au cours des trois années précédentes, une activité au sein de l'ANSSI ou au sein d'entités essentielles ou importantes. Cette incompatibilité ne permettrait pas à la commission de disposer de personnalités qualifiées sur les questions de cybersécurité.

Article 36 — amendement n° 415

Cet amendement a pour objectif d’aligner, par cohérence, les conditions et garanties quant à la nomination des personnalités qualifiées sur celles prévues pour la composition de la commission des sanctions mentionnée au titre 1 er . Il vise également à ne pas limiter le champ des personnes dont la compétence en matière cyber est avérée pour éclairer la décision de la commission des sanctions, alors qu’un mécanisme de déport permettrait, lorsque le dossier l’impose, de répondre au risque de…

Article 36 — amendement n° 511

Cet amendement a pour objectif d’aligner, par cohérence, les conditions et garanties quant à la nomination des personnalités qualifiées sur celles prévues pour la composition de la commission des sanctions mentionnée au titre 1er. Il vise également à ne pas limiter le champ des personnes dont la compétence en matière cyber est avérée pour éclairer la décision de la commission des sanctions, alors qu’un mécanisme de déport permettrait, lorsque le dossier l’impose, de répondre au risque de…

Article 37 — amendement n° 416

Rédactionnel.

Article 37 — amendement n° 418

Cet amendement a pour objet de tirer les conséquences de précédents amendements qui soumettent les personnes morales dont leurs activités visées à l’article L. 1332‑2 du code de la défense les ont exclues de la qualité d’entité essentielle ou importante aux obligations des articles 14 et 17, en les soumettant également au dispositif de sanction prévu à l’article 37 de la présente loi. Il vise par ailleurs à remplacer la notion d’entité importante ou essentielle par la notion de personne…

Article 37 — amendement n° 419

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à mettre l’article 37 du projet de loi en cohérence avec le changement de terminologie précité, en permettant à la commission des sanctions mentionnée à l’article L. 1332‑15 du code de la défense de statuer sur les…

Article 37 — amendement n° 420

Rédactionnel.

Article 37 — amendement n° 421

L’amendement a pour objectif d’appliquer le règlement UE n° 2024/2847, dit CRA (CyberResilienceAct) visant à imposer des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national. Il tire les conséquences des modifications proposées à l’article 26 à cet égard.

Article 37 — amendement n° 422

Le présent amendement a pour objet la mise en conformité à la directive NIS 2 qui ne conditionne pas l’interdiction d’exercer des dirigeants des entités essentielles à la persistance d’un manquement malgré l’imposition d’amendes pécuniaires. En effet, l’article 32 §5 de la directive NIS II prévoit, lorsque les mesures d’exécution de son paragraphe 4 aux points a) à d) et au point f) imposées aux entités essentielles – mesures de police administrative reprises dans le projet de loi aux articles…

Article 37 — amendement n° 423

Cet amendement vise à prévoir une base législative pour permettre à l’ANSSI : – D’une part, de confier au cas par cas dans les schémas de certification, l’activité de certification à des organismes d’évaluation de la conformité : o Soit en application du droit de l’Union, en particulier l’article 56 §6 du règlement n°2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA et à la certification de cybersécurité des technologies de l’information et des communications ; o…

Article 37 — amendement n° 512

Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d’enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d’enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à mettre l’article 37 du projet de loi en cohérence avec le changement de terminologie précité, en permettant à la commission des sanctions mentionnée à l’article L. 1332-15 du code de la défense de statuer sur les…

Article 37 — amendement n° 513

L’amendement a pour objectif d’appliquer le règlement UE n° 2024/2847, dit CRA (CyberResilienceAct) visant à imposer des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national. Il tire les conséquences des modifications proposées à l’article 26 à cet égard.

Article 37 — amendement n° 514

Le présent amendement a pour objet la mise en conformité à la directive NIS 2 qui ne conditionne pas l’interdiction d’exercer des dirigeants des entités essentielles à la persistance d’un manquement malgré l’imposition d’amendes pécuniaires. En effet, l’article 32 §5 de la directive NIS II prévoit, lorsque les mesures d’exécution de son paragraphe 4 aux points a) à d) et au point f) imposées aux entités essentielles – mesures de police administrative reprises dans le projet de loi aux articles…

Article 37 — amendement n° 515

Cet amendement a pour objet de tirer les conséquences de l’amendement n°XXXX, qui soumet les personnes morales dont leurs activités visées à l’article L. 1332-2 du code de la défense les ont exclues de la qualité d’entité essentielle ou importante aux obligations des articles 14 et 17, en les soumettant également au dispositif de sanction prévu à l’article 37 de la présente loi. Il vise par ailleurs à remplacer la notion d’entité importante ou essentielle par la notion de personne concernée,…

Article 37 — amendement n° 517

Cet amendement vise à prévoir une base législative pour permettre à l’ANSSI : - D’une part, de confier au cas par cas dans les schémas de certification, l’activité de certification à des organismes d’évaluation de la conformité : o Soit en application du droit de l’Union, en particulier l’article 56 §6 du règlement n°2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA et à la certification de cybersécurité des technologies de l’information et des communications ; o…

Article 38 — amendement n° 425

Sans opérer de modification de fond dès lors que l’obligation de déclaration des moyens de cryptologie ainsi que son périmètre sont préservés au niveau de la loi, cet amendement s’inscrit dans une démarche de simplification règlementaire. Il vise à améliorer la lisibilité du dispositif pour les destinataires de l’obligation en permettant de s’appuyer sur le niveau règlementaire pour tenir à jour de manière régulière, en conformité avec les engagements européens en la matière, la liste des…

Article 38 — amendement n° 518

Sans opérer de modification de fond dès lors que l’obligation de déclaration des moyens de cryptologie ainsi que son périmètre sont préservés au niveau de la loi, cet amendement s’inscrit dans une démarche de simplification règlementaire. Il vise à améliorer la lisibilité du dispositif pour les destinataires de l’obligation en permettant de s’appuyer sur le niveau règlementaire pour tenir à jour de manière régulière, en conformité avec les engagements européens en la matière, la liste des…

Article 39 — amendement n° 426

Amendement rédactionnel visant à harmoniser la rédaction de l’alinéa 6 avec celles des alinéas 3, 4 et 7 de l’article 39.

Article 39 — amendement n° 427

Le présent amendement vise à assurer la coordination avec l'amendement insérant la définition des agents agissants pour le compte des bureaux d’enregistrement et supprime, en conséquence, au sein de l’article 39, le renvoi à un décret en Conseil d’État qui devait porter cette définition. En coordination avec l’article 22 du projet de loi et l’amendement le complétant pour ajouter la mention des « agents agissant pour le compte de », le présent amendement complète l’article L. 45‑5 du code des…

Article 39 — amendement n° 428

Rédactionnel.

Article 39 — amendement n° 429

Les articles 9 et 12 de l’ordonnance n° 2005‑1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives sont abrogés par l’article 39 de la présente loi. Les exigences à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations sont désormais prises en application de l’article 11 de l’ordonnance n° 2005‑1516 du 8 décembre…

Article 39 — amendement n° 519

Amendement rédactionnel visant à harmoniser la rédaction de l’alinéa 6 avec celles des alinéas 3, 4 et 7 de l’article 39.

Article 39 — amendement n° 520

Le présent amendement vise à assurer la coordination avec l’amendement n° XX visant à définir les agents agissants pour le compte des bureaux d’enregistrement, et supprime la définition de ces agents via le décret prévu à l’article L. 45-7 du code des postes et communications électroniques (CPCE). Le présent amendement reprend également à l’article L45-5 du CPCE la formulation de l’article 22 afin de préciser que les offices et bureaux d’enregistrement du CPCE doivent répondre aux demandes des…

Article 39 — amendement n° 521

Les articles 9 et 12 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives sont abrogés par l’article 39 de la présente loi. Les exigences à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations sont désormais prises en application de l’article 11 de l’ordonnance n° 2005-1516 du 8 décembre…

Article 40 — amendement n° 430

Rédactionnel.

Article 40 — amendement n° 431

Rédactionnel.

Article 40 — amendement n° 432

Rédactionnel.

Article 41 — amendement n° 434

Rédactionnel.

Article 41 — amendement n° 435

Rédactionnel.

Article 41 — amendement n° 436

Rédactionnel.

Article 41 — amendement n° 437

Rédactionnel.

Article 41 — amendement n° 438

Rédactionnel.

Article 41 — amendement n° 439

Rédactionnel.

Article 42 — amendement n° 441

Rédactionnel.

Article 42 — amendement n° 442

Rédactionnel.

Article 42 — amendement n° 443

Rédactionnel.

Article 42 — amendement n° 444

Rédactionnel.

Article 42 — amendement n° 445

Rédactionnel.

Article 43 A — amendement n° 263

Cet amendement vise à désigner l’Autorité de contrôle prudentiel et de résolution comme autorité compétente chargée de recevoir les déclarations d’incidents et les notifications de cybermenaces de la part des entités financières soumises à la surveillance de plusieurs autorités nationales compétentes, conformément au deuxième alinéa du paragraphe 1 de l’article 19 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du…

Article 44 — amendement n° 243

Amendement rédactionnel.

Article 45 bis — amendement n° 110

Cet amendement a le même objet que l’amendement n°109 mais concerne les déclarations des entités financières qui relèvent de la compétence de l’Autorité des marchés financiers.

Article 45 bis — amendement n° 523

Cet amendement tire les conséquences de l'adoption de l'amendement 522. Ses dispositions concernent les entités financières qui relèvent de l'Autorité des marchés financiers.

Article 45 bis — amendement n° 533

Amendement de repli par rapport aux amendements CS242 et CS244. Cet amendement a le même objet que l’amendement n°531 mais concerne les déclarations des entités financières qui relèvent de la compétence de l’Autorité des marchés financiers.

Article 46 — amendement n° 245

Amendement rédactionnel.

Article 49 bis — amendement n° 247

Amendement rédactionnel.

Article 5 — amendement n° 267

Rédactionnel.

Article 5 — amendement n° 475

Le présent amendement vise à inscrire le devoir d'information des populations, sans préjuger que cela doive être fait par les seuls Plans Communaux de Sauvegarde, prévus par le code de la sécurité intérieure. Il s'agit, comme le fait le GIP ACYMA au niveau national, que la prévention soit aussi locale et territoriale. En effet, il est économe de prévenir les risques et sensibiliser sur la cybersécurité avec la réalisation de publications et de campagnes de sensibilisation et de prévention…

Article 5 — amendement n° 62

Par cet amendement, le groupe LFI veut compléter les grandes missions de l’ANSSI. L’article 5 prévoit qu’elles seront précisées par décret ; toutefois, il en mentionne explicitement certaines, comme « l’accompagnement de la filière cybersécurité ». Cet amendement de précision vise donc à sanctuariser la présence de certaines missions de l’ANSSI dans la loi. La directive NIS II enjoint les États à adopter des mesures des politiques de promotion de la cyberprotection active, qui consiste en la…

Article 5 bis — amendement n° 181

Cet amendement du groupe Horizons & Indépendants vise à préciser que le soutien apporté par l’État aux entités soumises à la directive NIS 2 pourra inclure des moyens financiers. De nombreuses collectivités territoriales et petites entités concernées par le texte ont des moyens humains et techniques limités pour renforcer leur cybersécurité. Sans appui budgétaire, elles risqueraient d’avoir des difficultés à se mettre en conformité. En exprimant que le soutien puisse être aussi financier,…

Article 5 bis — amendement n° 183

Cet amendement du groupe Horizons & Indépendants propose de transposer directement une disposition prévue à l’article 7 de la directive (UE) 2022/2555 (NIS 2), qui invite les États membres à promouvoir la formation, l’éducation, la sensibilisation et la diffusion des bonnes pratiques en matière de cybersécurité. Il renforce le rôle de la stratégie nationale de cybersécurité dans la montée en compétences de l’ensemble des acteurs, condition indispensable à la résilience collective de notre…

Article 5 bis — amendement n° 269

Rédactionnel.

Article 5 bis — amendement n° 270

Rédactionnel.

Article 5 bis — amendement n° 271

Cet amendement a pour objectif d’intégrer la notion de souveraineté numérique et d’autonomie stratégique numérique dans la stratégie nationale.

Article 5 bis — amendement n° 272

Rédactionnel.

Article 5 bis — amendement n° 274

Rédactionnel.

Article 5 bis — amendement n° 275

Rédactionnel.

Article 5 bis — amendement n° 277

Rédactionnel.

Article 5 bis — amendement n° 278

Rédactionnel.

Article 5 bis — amendement n° 280

Rédactionnel.

Article 5 bis — amendement n° 281

Rédactionnel.

Article 5 bis — amendement n° 282

Rédactionnel.

Article 5 bis — amendement n° 283

Rédactionnel.

Article 5 bis — amendement n° 285

Le présent amendement a pour but d'inscrire dans la loi le rôle stratégique du logiciel libre et des standards ouverts pour l'atteinte des objectifs de résilience, de sécurité et de souveraineté que ce projet de loi ambitionne. L'article 5 bis définit les piliers de la future stratégie nationale en matière de cybersécurité. Il est impératif que cette stratégie, qui orientera l'action de l'État pour les années à venir, reconnaisse formellement les outils qui permettent le mieux de garantir notre…

Article 5 bis — amendement n° 287

Rédactionnel.

Article 5 bis — amendement n° 289

Rédactionnel.

Article 5 bis — amendement n° 290

Rédactionnel.

Article 5 bis — amendement n° 477

L’État doit veiller, à l’instar de ce qui est pratiqué dans le domaine de la sécurité routière, à faire émerger une marque nationale de prévention du risque numérique, connue du grand public, en capitalisant sur le modèle du cyber moi/s européen. Le développement de cette marque serait confiée au Groupement d’Intérêt Public Action contre la cybercriminalité (GIP ACYMA), qui deviendrait ainsi le maître d’oeuvre d’un programme ambitieux de prévention nationale en matière de cybersécurité.

Article 5 bis — amendement n° 64

Par cet amendement, le groupe LFI souhaite s’assurer que la stratégie nationale de cybersécurité comprendra bien les missions de cyberprotection, de cyberhygiène et d’éducation aux bonnes pratiques numériques décrites plus haut. La directive NIS II enjoint explicitement les États à inclure dans leur stratégie nationale en matière de cybersécurité des mesures de promotion de la cyberprotection active ainsi que la promotion et le développement de l’éducation et de la formation en matière de…

Article 5 bis — amendement n° 68

Par cet amendement, le groupe parlementaire de la France insoumise propose l’intégration d’un volet territorial à la stratégie nationale de cybersécurité, afin de mieux articuler l’ambition nationale avec les réalités locales et assurer les besoins de formation en accord avec l’augmentation des attaques et la nécessité de s’en prémunir. Face à la multiplication des attaques numériques, les collectivités territoriales, notamment rurales ou périurbaines, demeurent sous-dotées en compétences, en…

Article 5 bis — amendement n° 84

Cet amendement vise à intégrer à la stratégie de l’ANSSI le soutien technique et logistique à la création d’une filière de formation publique et nationale sur les métiers de la cyber sécurité et de la cyber défense. En effet, il manque au moins 10 000 ingénieurs formés par an en France. Faute d'ingénieurs, seul un projet sur 6 en matière de cybersécurité est effectivement réalisé. La place des femmes dans ce type de filière est largement moindre : d’après une enquête réalisée en 2022 par…

Article 5 bis — amendement n° 98

Le titre II du projet de loi vise à transposer la directive NIS 2 en étendant les obligations en matière de cybersécurité à un plus grand nombre d’entités, notamment à l’ensemble des intercommunalités. Si cette extension aux collectivités territoriales est justifiée par la nécessité de renforcer la résilience des collectivités face aux risques d’attaques numériques, elle pose néanmoins un problème majeur pour les plus petites collectivités : petites communes rurales, certaines intercommunalités…

Article 51 — amendement n° 248

Amendement rédactionnel.

Article 52 — amendement n° 249

Amendement rédactionnel.

Article 54 — amendement n° 250

Amendement rédactionnel.

Article 55 — amendement n° 251

Amendement rédactionnel.

Article 56 — amendement n° 252

Amendement de coordination. Il tient compte de plusieurs modifications du Sénat (art. 49 bis , article 53) et corrige des erreurs de référence.

Article 57 — amendement n° 253

Amendement rédactionnel.

Article 58 — amendement n° 254

Amendement rédactionnel.

Article 58 bis — amendement n° 255

S’agissant des assurances de dommages aux biens, les risques de guerre sont légalement exclus de la garantie de l’assureur, sauf convention contraire, conformément à l’article L. 121-8 du code des assurances. Cette exclusion se justifie par le caractère inassurable d’une guerre qui constitue un risque de nature systémique limitant les possibilités de mutualisation. Par exception aux principes assurantiels, la charge de la preuve repose ici sur l’assuré qui doit démontrer l’absence de lien de…

Article 58 bis — amendement n° 524

S’agissant des assurances de dommages aux biens, les risques de guerre sont légalement exclus de la garantie de l’assureur, sauf convention contraire, conformément à l’article L. 121-8 du code des assurances. Cette exclusion se justifie par le caractère inassurable d’une guerre qui constitue un risque de nature systémique limitant les possibilités de mutualisation. Par exception aux principes assurantiels, la charge de la preuve repose ici sur l’assuré qui doit démontrer l’absence de lien de…

Article 59 — amendement n° 256

Amendement rédactionnel.

Article 6 — amendement n° 149

La notion de vulnérabilité est d’ores et déjà définie en droit européen, notamment à l’article 3 du règlement UE 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 (Règlement sur la cyber-résilience) concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (Union européenne) n°68/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828. Cette définition ne prend pas en compte le facteur humain comme…

Article 6 — amendement n° 266

Cet amendement vise à préciser la définition d’agent agissant pour le compte des bureaux d’enregistrement afin de clarifier les agents soumis au présent projet de loi. La définition vise notamment à dresser une liste non exhaustive de ces agents qui inclurait les revendeurs de noms de domaine ainsi que les fournisseurs de services d’anonymisation ou d’enregistrement fiduciaire comme la prévoit la directive.

Article 6 — amendement n° 291

Rédactionnel.

Article 6 — amendement n° 292

Rédactionnel.

Article 6 — amendement n° 293

Cet amendement définit la notion de résilience en reprenant celle retenue à l'article 1er du projet de loi.

Article 6 — amendement n° 294

Par mesure de clarification et de simplification de la rédaction, le présent amendement tend, d’une part, à utiliser directement au sein du 5° de l’article les définitions prévues aux 1° et 2° du même article et, d’autre part, à ajouter les agents agissant pour le compte de bureaux d’enregistrement dans la définition prévue au même 5°.

Article 6 — amendement n° 296

Rédactionnel.

Article 6 — amendement n° 297

La définition de la notion de vulnérabilité figure déjà à l’article 3 du règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 relatif à la cyber-résilience. Cette définition n’intègre pas le facteur humain comme élément susceptible de constituer une faille exploitable. Inclure les comportements ou erreurs des utilisateurs reviendrait à introduire une approche disproportionnée et inapplicable, notamment s’agissant des vulnérabilités dites « humaines » liées aux chaînes…

Article 6 — amendement n° 484

Cet amendement vise à préciser la définition d’agent agissant pour le compte des bureaux d’enregistrement afin de clarifier les agents soumis au présent projet de loi. La définition vise notamment à dresser une liste non exhaustive de ces agents qui inclurait les revendeurs de noms de domaine ainsi que les fournisseurs de services d’anonymisation ou d’enregistrement fiduciaire comme la prévoit la directive.

Article 6 — amendement n° 485

Par mesure de clarification et de simplification de la rédaction, le présent amendement tend, d’une part, à utiliser directement au sein du 5° de l’article les définitions prévues aux 1° et 2° du même article et, d’autre part, à ajouter les agents agissant pour le compte de bureaux d’enregistrement dans la définition prévue au même 5°.

Article 6 — amendement n° 486

Cet amendement vise à reprendre la définition telle que prévue par la directive NIS 2 qui ne prévoit pas le facteur humain, dans un souci d’harmonisation de cette définition avec les autres Etats membres.

Article 61 — amendement n° 258

Amendement rédactionnel.

Article 62 — amendement n° 261

Le présent amendement vise deux objectifs. D’une part, il s’agit de rétablir le principe d’une entrée en application différenciée entre les plus grandes sociétés de financement et les autres entreprises de ce type. Les plus grandes sociétés de financement exercent, pour certaines, des activités critiques pour le secteur financier français et devraient être assujetties dès la promulgation de la présente loi à des standards élevés en matière de résilience et de cybersécurité. Les autres sociétés…

Article 62 — amendement n° 526

Pour éviter une rupture d’égalité entre la métropole et les collectivités ultramarines du Pacifique régies par le principe de spécialité législative où toute création, modification ou abrogation d’articles métropolitains relevant de la sphère de compétence de l’Etat, en l’occurrence en matière bancaire et financière, il convient de rendre applicables les dispositions transitoires et l’entrée en vigueur différée concernant les sociétés de financement prévues à l’article 62 dans ces territoires.

Article 62 — amendement n° 527

Le présent amendement vise deux objectifs. D’une part, il s’agit de rétablir le principe d’une entrée en application différenciée entre les plus grandes sociétés de financement et les autres entreprises de ce type. Les plus grandes sociétés de financement exercent, pour certaines, des activités critiques pour le secteur financier français et devraient être assujetties dès la promulgation de la présente loi à des standards élevés en matière de résilience et de cybersécurité. Les autres sociétés…

Article 62 — amendement n° 63

Par cet amendement, le groupe LFI souligne la nécessité d’allouer suffisamment de moyens à l’Agence nationale de la sécurité des systèmes d’information (Anssi) afin qu’elle puisse concrètement faire appliquer les nouvelles dispositions issues de la transposition de la directive NIS 2 en droit interne. Lors de l’examen du PLF 2025 au Sénat, l’Anssi avait demandé à l’origine un budget de 35 M€ et 60 emplois supplémentaires pour avoir les moyens d’appliquer les dispositions du présent PJL, mais…

Article 62 — amendement n° 65

Par cet amendement, le groupe LFI souhaite s’assurer que les moyens qui seront alloués à l’ANSSI sont adéquats avec les missions qui lui seront confiées, notamment au regard de l’élargissement de son rôle dans les années à venir et des évolutions rapides du secteur du numérique, qui justifient également la fourniture d’un rapport annuel sur la mise en place de la stratégie nationale de cybersécurité, plutôt que bisannuel.

Article 62 A — amendement n° 525

Si ce nouvel article introduit au Sénat prévoit que les entités financières essentielles et importantes (EE/EI) soumises à la directive DORA n'ont pas à appliquer la directive NIS 2 "dès lors que l'adoption de ces mesures et la notification de ces incidents ont un effet au moins équivalent à ces exigences", le gouvernement rappelle que cela ne remet pas en question la nécessité pour les entités financières soumises à DORA de s'enregistrer en tant que EE ou EI au titre de NIS 2. Par ailleurs, il…

Article 7 — amendement n° 300

Rédactionnel.

Article 7 — amendement n° 301

Rédactionnel.

Article 8 — amendement n° 150

Cet amendement vise à revenir à la rédaction initiale du texte et à inclure l’ensemble des communautés d’agglomération dans la catégorie des « entités essentielles ». En effet, les communautés d’agglomération ont comme compétence obligatoire de plein droit, la gestion de l’eau potable et des eaux usées, en régie ou gestion directe. Ces activités étant considérées au titre de l’article 7 du présent texte comme des secteurs hautement critiques pour le fonctionnement de l’économie et de la…

Article 8 — amendement n° 178

De nombreux responsables sécurité des systèmes d’information (RSSI), en particulier dans le secteur hospitalier, alertent sur une faille majeure du dispositif actuel : les éditeurs de logiciels ne sont soumis à aucune obligation de sécurité ni à aucune autorité de contrôle. Ainsi, lorsqu’une vulnérabilité est découverte dans un logiciel utilisé par un établissement de santé, rien n’impose à l’éditeur de mettre en œuvre dans des délais raisonnables les correctifs nécessaires, exposant…

Article 8 — amendement n° 302

Cet amendement vise à prendre en compte au niveau de la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales. La directive NIS 2 prend en compte cette possibilité au niveau de son considérant (10) qui dispose que « bien que la présente directive s’applique aux entités exerçant des activités de production d’électricité à partir…

Article 8 — amendement n° 303

Rédactionnel.

Article 8 — amendement n° 304

Rédactionnel.

Article 8 — amendement n° 305

Cet amendement a pour objectif d’inclure clairement les établissements publics de santé ainsi que les établissements et services sociaux et médico-sociaux dans le périmètre du projet de loi. Si le périmètre de la directive NIS 2 évoque bien le domaine de la santé, il parait important de citer explicitement ces établissement afin de lever toute ambiguité. Au regard des nombreuses cyberattques dont ils sont la cibles, il est important qu’ils soient clairement identifiés comme des entités soumises…

Article 8 — amendement n° 306

Rédactionnel.

Article 8 — amendement n° 487

Cet amendement a pour objectif d’inclure les établissements publics de santé ainsi que les établissements et services sociaux et médico-sociaux dans le périmètre du projet de loi.

Article 8 — amendement n° 488

Cet amendement vise à prendre en compte au niveau de la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales. La directive NIS 2 prend en compte cette possibilité au niveau de son considérant (10) qui dispose que « bien que la présente directive s’applique aux entités exerçant des activités de production d’électricité à partir…

Article 9 — amendement n° 151

Cet amendement, en lien avec l’amendement déposé sur l’article 8 du présent texte, vise à revenir à la rédaction initiale du texte et garantir sa cohérence.

Article 9 — amendement n° 307

Rédactionnel.

Article 9 — amendement n° 308

Cet amendement vise à prendre en compte au niveau de la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales. La directive NIS 2 prend en compte cette possibilité au niveau de son considérant (10) qui dispose que « bien que la présente directive s’applique aux entités exerçant des activités de production d’électricité à partir…

Article 9 — amendement n° 309

Cet amendement a pour objectif d’inclure clairement les établissements publics de santé ainsi que les établissements et services sociaux et médico-sociaux dans le périmètre du projet de loi. Si le périmètre de la directive NIS 2 évoque bien le domaine de la santé, il parait important de citer explicitement ces établissement afin de lever toute ambiguité. Au regard des nombreuses cyberattques dont ils sont la cibles, il est important qu’ils soient clairement identifiés comme des entités soumises…

Article 9 — amendement n° 310

Rédactionnel.

Article 9 — amendement n° 489

Cet amendement a pour objectif d’inclure les établissements publics de santé ainsi que les établissements et services sociaux et médico-sociaux dans le périmètre du projet de loi.

Article 9 — amendement n° 490

Cet amendement vise à prendre en compte au niveau de la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales. La directive NIS 2 prend en compte cette possibilité au niveau de son considérant (10) qui dispose que « bien que la présente directive s’applique aux entités exerçant des activités de production d’électricité à partir…

Article PREMIER — amendement n° 125

Amendement rédactionnel. Cet amendement corrige une erreur de syntaxe dans la définition de résilience. "Prévenir contre type d'incident" est une formulation incorrecte.

Article PREMIER — amendement n° 126

Amendement rédactionnel. Cet amendement reformule la définition du plan particulier de résilience en remplaçant le pluriel par du singulier s'agissant de la mention de l'opérateur d'importance vitale. Si un opérateur d'importance vitale peut être en charge de plusieurs points d'importance vitale, c'est bien l'opérateur qui doit rédiger individuellement un plan particulier de résilience pour chaque point d'importance vitale.

Article PREMIER — amendement n° 127

Cet amendement corrige une erreur de renvoi. L'article L. 114-1 du code de la sécurité intérieure ne prévoit pas les conditions dans lesquelles s'exerce l'avis de l'autorité administrative compétente mais les conditions dans lesquelles s'exercent une enquête administrative. L'amendement ainsi rédigé rétablit l'objectif de l'article, à savoir qu'un avis peut être demandé à l'autorité administrative compétente à la suite d'une enquête administrative, conduite selon des conditions fixées par le…

Article PREMIER — amendement n° 128

Amendement rédactionnel. Cet amendement corrige une erreur de formulation juridique. Une entité peut être exonérée d'une taxe ou d'un impôt par l'autorité administrative mais elle est dispensée d'une obligation. Or ici, il s'agit bien de dispenser les opérateurs du secteur de la défense de certaines obligations selon des modalités fixées par décret en Conseil d'Etat.

Article PREMIER — amendement n° 129

Cet amendement renforce l'indépendance de la commission des sanctions en supprimant la possibilité de renouveler le mandat de ses membres. Le mandat des membres de la commission des sanctions sera unique plutôt que renouvelable une fois, afin de garantir le caractère désintéressé et impartial des décisions prises par la commission.

Article PREMIER — amendement n° 130

Cet amendement corrige une erreur matérielle. C'est le produit des sanctions pécuniaires qui est versé au Trésor public et non la sanction elle-même.

Article PREMIER — amendement n° 140

Cet amendement vise à solliciter un avis de la CNIL sur le décret d’application encadrant les enquêtes administratives de sécurité. Cet avis est essentiel dans la mesure où les enquêtes peuvent impliquer la consultation de données sensibles.

Article PREMIER — amendement n° 169

Cet amendement prévoit que le décret d’application encadrant les enquêtes administratives de sécurité pour l’accès aux points et systèmes d’information d’importance vitale soit pris après avis de la CNIL. Cette garantie est essentielle, ces enquêtes couvrant un champ élargi et pouvant impliquer la consultation du bulletin n°2 du casier judiciaire ainsi que de traitements automatisés de données personnelles (article 26 de la loi n° 78‑17 du 6 janvier 1978).

Article PREMIER — amendement n° 43

Par cet amendement, le groupe LFI souhaite que le décret d’application encadrant les enquêtes administratives de sécurité pour l’accès aux points et systèmes d’information d’importance vitale soit pris après avis de la CNIL. Le présent PJL modifie l’article L. 1332‑6 du code de la défense dans une nouvelle rédaction qui prévoit l’élargissement du champ des enquêtes administratives de sécurité aux accès à distance aux Point d’Importance Vitale (PIV), ainsi qu’aux Systèmes d’Information…

Article PREMIER — amendement n° 446

Cet amendement intègre les vulnérabilités des sous-traitants à l'analyse des dépendances réalisée par les opérateurs d'importance vitale. Conformément aux dispositions prévues par la directive REC, l'interdépendance croissante de l'économie nécessite de la part des opérateurs d'importance vitale une analyse détaillée des vulnérabilités de leur chaîne d'approvisionnement pour limiter les risques d'incidents. Or, cette analyse ne peut être complète sans prendre en compte les sous-traitants, dans…

Article PREMIER — amendement n° 448

Le présent amendement propose de clarifier la notion d’infrastructure critique, utilisée en droit européen dans la directive REC transposée au titre Ier. La directive REC adopte une définition de la notion d’infrastructure critique plus large que celle couvrant le périmètre actuel de la notion de point d’importance vitale (PIV), utilisée en droit national et bien appréhendée par les opérateurs. Par conséquent, le projet de loi avait fait le choix initial de conserver le périmètre actuel des…

Article PREMIER — amendement n° 450

Cet amendement vise à préciser le périmètre de l'analyse des risques de dépendance que doivent conduire les opérateurs d'importance vitale (OIV), afin de prendre en compte la nature de plus en plus numérique de nos infrastructures critiques. L'article L. 1332-4, dans sa rédaction issue du projet de loi, impose une analyse des dépendances à l'égard des tiers et des vulnérabilités des chaînes d'approvisionnement. Le présent amendement vient utilement clarifier que cette analyse doit explicitement…

Article PREMIER — amendement n° 452

Amendement de précision. L'opérateur d'importance vitale relevant de la catégorie d'entité critique doit garantir l’activité régulière de chaque point d’importance vitale et fournir des services essentiels au sens de la directive REC. La rédaction actuelle de cet article ne distingue pas, dans le plan particulier de résilience, ce qui relève des équipements de ce qui dépend des dispositions et procédures mises en œuvre par l’opérateur. Or le plan particulier de résilience se doit de mentionner,…

Article PREMIER — amendement n° 461

Par cet amendement, le groupe LFI souhaite modifier les critères de désignation des membres de la commission des sanctions afin de renforcer son indépendance et son impartialité. Le groupe LFI souhaite également renforcer l'indépendance de la commission des sanctions en supprimant la possibilité de renouveler le mandat de ses membres. En privant l'exécutif de la possibilité de renouveler le mandat des membres de la commission des sanctions, le caractère désintéressé des décisions prises par…

Article PREMIER — amendement n° 465

Le présent amendement propose de clarifier la notion d’infrastructure critique utilisée dans la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil (directive « REC »), dont la transposition est assurée par le présent projet de loi. La directive « REC » adopte une définition de la notion d’infrastructure critique plus large que celle couvrant le périmètre actuel de la notion…

Article PREMIER — amendement n° 466

L’amendement poursuit un objectif de cohérence en visant à soumettre l’ensemble des opérateurs d’importance vitale (OIV) aux obligations de notification d’incidents importants et de vulnérabilités critiques prévues à l’article 17. En effet, en ne visant que le premier alinéa de l’article 17 du projet de loi, la rédaction actuelle de l’article L. 1332-11 prévue à l’alinéa 60 omet l’obligation de notification par les OIV à leurs destinataires de services des incidents importants ayant un impact…

Article PREMIER — amendement n° 467

Le présent amendement vise à modifier les autorités de nomination des membres de la commission des sanctions pour revenir à la proposition initiale du Gouvernement laquelle se justifie par la nature et les missions de la commission des sanctions, qui aura à connaître d’enjeux très techniques et opérationnels, liés notamment à la sécurité des activités d’importance vitale et à la cybersécurité. Il paraît dès lors paradoxal de charger d’une telle nomination les plus hautes autorités relevant du…

Article PREMIER — amendement n° 469

Le présent amendement vise à modifier les autorités de nomination des membres de la commission des sanctions pour revenir à la proposition initiale du Gouvernement laquelle se justifie par la nature et les missions de la commission des sanctions, qui aura à connaître d’enjeux très techniques et opérationnels, liés notamment à la sécurité des activités d’importance vitale et à la cybersécurité. Il paraît dès lors paradoxal de charger d’une telle nomination les plus hautes autorités relevant du…

Article PREMIER — amendement n° 478

Amendement de précision. L’opérateur d’importance vitale relevant de la catégorie d’entité critique doit garantir l’activité régulière de chaque point d’importance vitale et fournir des services essentiels au sens de la directive REC. La rédaction actuelle de cet article ne distingue pas, dans le plan particulier de résilience, ce qui relève des équipements de ce qui dépend des dispositions et procédures mises en œuvre par l’opérateur. Or le plan particulier de résilience se doit de mentionner,…

Article PREMIER — amendement n° 479

L’article 1er institue une commission des sanctions contre les opérateurs qui manqueraient à leurs obligations. Cet amendement vise à consacrer l’application du principe du contradictoire tout au long de la procédure devant cette commission. La commission pourra infliger des sanctions lourdes avec des amendes allant jusqu’à 2 % du chiffre d’affaires annuel mondial d’une entreprise. Dans ces conditions, il est nécessaire d’inscrire explicitement dans la loi le principe du contradictoire. Le…

Article PREMIER — amendement n° 481

Cet amendement vise à ce que le décret d’application encadrant les enquêtes administratives de sécurité pour l’accès aux points et systèmes d’information d’importance vitale soit pris après avis de la CNIL. Le présent PJL modifie l’article L. 1332‑6 du code de la défense dans une nouvelle rédaction qui prévoit l’élargissement du champ des enquêtes administratives de sécurité aux accès à distance aux Point d’Importance Vitale (PIV), ainsi qu’aux Systèmes d’Information d’Importance Vitale (SIIV).…

Article PREMIER — amendement n° 532

Le présent amendement vise à modifier les autorités de nomination des membres de la commission des sanctions pour revenir à la proposition initiale du Gouvernement laquelle se justifie par la nature et les missions de la commission des sanctions, qui aura à connaître d’enjeux très techniques et opérationnels, liés notamment à la sécurité des activités d’importance vitale et à la cybersécurité. Il paraît dès lors paradoxal de charger d’une telle nomination les plus hautes autorités relevant du…

Article PREMIER — amendement n° 9

Amendement de précision. L’opérateur d’importance vitale relevant de la catégorie d’entité critique doit garantir l’activité régulière de chaque point d’importance vitale et fournir des services essentiels au sens de la directive REC. La rédaction actuelle de cet article ne distingue pas, dans le plan particulier de résilience, ce qui relève des équipements de ce qui dépend des dispositions et procédures mises en œuvre par l’opérateur. Or le plan particulier de résilience se doit de mentionner,…

Article PREMIER — amendement n° 99

L’article 1 er institue une commission des sanctions contre les opérateurs qui manqueraient à leurs obligations. Cet amendement vise à consacrer l’application du principe du contradictoire tout au long de la procédure devant cette commission. La commission pourra infliger des sanctions lourdes avec des amendes allant jusqu’à 2 % du chiffre d’affaires annuel mondial d’une entreprise. Dans ces conditions, il est nécessaire d’inscrire explicitement dans la loi le principe du contradictoire. Le…